Windows-Telemetrie in Fall gegen mutmaßliches Mitglied von Scattered Spider angeführt

Eine Beschwerde des US-Justizministeriums gegen Peter Stokes, dem eine Beteiligung an der Cyberkriminellengruppe Scattered Spider vorgeworfen wird, zeigt, wie Telemetriedaten von Betriebssystemen und Diensten Ermittlern helfen können, Online-Aktivitäten einer Person zuzuordnen.

Dem Antrag zufolge wurden Ermittlungen der Bundesbehörden und Microsoft-Daten zusammen mit Daten von Netzwerkdiensten verwendet, um Stokes mit Konten und Infrastruktur in Verbindung zu bringen, die der Gruppe zugerechnet werden. Die Behörden erklären, Scattered Spider habe Zugangsdaten von Mitarbeitern zahlreicher US-Unternehmen kompromittiert, Zugriff auf mehr als 100 Unternehmensnetzwerke erlangt und Daten bei Erpressungskampagnen gestohlen oder verschlüsselt, die erhebliche Lösegeldzahlungen einbrachten.

Wie die Ermittler die Verbindung hergestellt haben wollen

In der eidesstattlichen Erklärung heißt es, Microsoft habe Informationen zu einem Windows Global Device Identifier, kurz GDID, bereitgestellt – einer dauerhaften Gerätekennung, die bei einigen Microsoft-Diensten verwendet wird. Die Ermittler erklären, Aufzeichnungen hätten gezeigt, dass ein Windows-Gerät mit dieser Kennung zeitgleich mit der Erstellung eines ngrok-Kontos auf ngrok zugegriffen habe. Ngrok ist ein Tunneling-Dienst, mit dem sich sichere Verbindungen unter Umgehung von Netzwerkkontrollen einrichten lassen. Dasselbe Gerät soll außerdem Server erreicht haben, die mit dem VPN-Anbieter Tzulo in Verbindung stehen.

Die Behörden glichen diese Dienstaufzeichnungen anschließend mit Informationen zu IP-Adressen ab und erklären, die Kennung sei später mit einer Adresse in Estland verknüpft worden, wo Stokes Berichten zufolge lebte.

Was der Antrag über die beteiligten Tools aussagt

• Ngrok soll verwendet worden sein, um den Zugriff auf kompromittierte Systeme aufrechtzuerhalten und dabei übliche Netzwerkbeschränkungen zu umgehen.
• Aufzeichnungen des Tzulo-VPN wurden als zusätzliche Telemetriedaten in den Ermittlungen angeführt.
• Microsoft soll Strafanzeigen weitergeleitet und Aufzeichnungen bereitgestellt haben, die dabei halfen, die Aktivitäten mit Stokes in Verbindung zu bringen.

In der Beschwerde werden außerdem Inhalte aus sozialen Medien erwähnt, die Ermittler für die Kommunikation von Scattered Spider als relevant erachten. Sollten sich diese Details vor Gericht bestätigen, könnten sie den Fall der Regierung stärken.

Der Antrag erinnert zudem daran, dass moderne Geräte und Cloud-Dienste dauerhafte Spuren hinterlassen. Microsofts GDID wird in öffentlich zugänglicher Dokumentation kaum erwähnt, doch ähnliche Geräte- oder Kontokennungen gibt es bei den großen Plattformen. Apple verwendet hardware- und kontobezogene IDs, während Linux-Systeme üblicherweise auf eine Rechnerkennung zurückgreifen. In der Praxis können Ermittler solche Aufzeichnungen häufig mit Protokolldaten von Anbietern kombinieren, wenn diese aufgrund eines rechtlichen Verfahrens zur Herausgabe verpflichtet werden.